Falhas do tipo CWE-267

77 resultados

Privilégio definido com ações inseguras

Ocorre quando um sistema concede um nível de privilégio ou permissão, mas as ações executadas sob esse privilégio não são adequadamente restringidas ou validadas. O código assume que possuir um privilégio é suficiente para executar operações, sem verificar se essas operações são seguras ou apropriadas no contexto. Isso permite que um usuário com certos privilégios execute ações perigosas que não deveria.

Exemplo

Um administrador de sistema recebe permissão para modificar arquivos de configuração. O código valida apenas se o usuário é admin, mas não valida qual arquivo está sendo modificado — permitindo que altere arquivos críticos do sistema operacional ou senhas criptografadas. Outro caso: um aplicativo concede privilégio de 'escrita em banco de dados' sem validar o tipo de comando SQL executado, permitindo um DROP TABLE mesmo com permissões restritas.

Como mitigar

Implemente validação granular: não confie apenas no privilégio. Verifique a ação específica antes de executá-la, use princípio do menor privilégio (privilégios separados por tipo de ação), e audite todas as operações sensíveis. Para cada ação crítica, valide novamente a autorização mesmo que o usuário já tenha um privilégio geral.

CVE-2026-81161LOWContent Moderation Notifications - Moderately critical - Access bypass - SA-CONTRIB-2026-107EPSS 0.2%CVE-2025-62590HIGHVulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions that are affected are 7.1.EPSS 0.2%CVE-2025-62641HIGHVulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions that are affected are 7.1.EPSS 0.2%CVE-2025-2903HIGHPrivilege Chaining in DelphixEPSS 0.2%CVE-2025-62587HIGHVulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions that are affected are 7.1.EPSS 0.2%CVE-2025-62591MEDIUMVulnerability in the Oracle VM VirtualBox product of Oracle Virtualization (component: Core). Supported versions that are affected are 7.1.EPSS 0.2%CVE-2025-13979MEDIUMMini site - Moderately critical - Cross-Site Scripting - SA-CONTRIB-2025-117EPSS 0.2%CVE-2024-5623MEDIUMUntrusted search path vulnerability in B&R APROLEPSS 0.2%CVE-2024-5622HIGHUntrusted search path vulnerability in the AprolConfigureCCServices of B&R APROLEPSS 0.2%CVE-2024-20411MEDIUMCisco NX-OS Bash Arbitrary Code Execution VulnerabilityEPSS 0.2%CVE-2026-42406HIGHBIG-IP and BIG-IQ privilege escalation vulnerabilityEPSS 0.1%CVE-2025-53070MEDIUMVulnerability in the Oracle Solaris product of Oracle Systems (component: Filesystem). The supported version that is affected is 11. EasilEPSS 0.1%CVE-2026-114524HIGHCustom Formatters - Critical - Remote code execution - SA-CONTRIB-2026-225EPSS 0.1%CVE-2023-28049MEDIUM Dell Command | Monitor, versions prior to 10.9, contain an arbitrary folder deletion vulnerability. A locally authenticated malicious user EPSS 0.1%CVE-2026-18858LOWIBM i is Affected By Obtaining Sensitive Information Vulnerability in OpenSSH []EPSS 0.1%CVE-2026-109520CRITICALColorful iGameCenter Dispatch AMDRyzenMasterDriver.sys MmMapIoSpace privilege defined with unsafe actionsEPSS 0.1%CVE-2024-32901HIGHIn v4l2_smfc_qbuf of smfc-v4l2-ioctls.c, there is a possible out of bounds write due to a missing bounds check. This could lead to local escEPSS 0.1%